クラウドの構成ミス（S3の公開や過剰権限など）の多くは、デプロイ前のコード段階で混入する。IaCの普及は設定の自動量産とリスク拡大を招くため、デプロイ前にコード上の問題を検出・修正する「IaCセキュリティ」と、組織の規律をコード化して強制する「Policy as Code（PaC）」が不可欠である。

本番環境の実構成を検査するCSPMに対し、IaCスキャンは「本番への持ち込みを防ぐ」予防的措置であり、相互に補完し合う。主なツールにはtfsecやOPAなどがあり、これらをCI/CDやIDEに組み込む。

運用上の課題は、厳格すぎるブロックが開発のパイプラインを阻害することである。まずは重要度別のルール設計や段階的導入、自動修正を導入し、開発スピードとセキュリティを両立させる必要がある。また、デプロイ後の手動変更による「ドリフト」を継続的に監視することも重要である。